IOC

🔍 Contexte Publié le 3 juillet 2026 par Kaspersky sur Securelist, cet article présente une analyse technique approfondie d’une campagne active attribuée avec un niveau de confiance moyen au groupe APT Armored Likho (également connu sous le nom Eagle Werewolf). La campagne cible principalement des agences gouvernementales et le secteur de l’énergie électrique en Russie, au Kazakhstan et au Brésil. 🎯 Vecteur d’infection initial Le groupe utilise des emails de spear-phishing avec des thèmes liés à des notices gouvernementales ou des programmes sociaux. Les archives malveillantes (ZIP/RAR) contiennent soit : ...

🔍 Contexte Le CERT/CC (Carnegie Mellon University) a publié le 6 juillet 2026 la note de vulnérabilité VU#213560 concernant la découverte d’une backdoor d’authentification cachée dans plusieurs versions du firmware de routeurs et équipements réseau Tenda. 🛠️ Description technique Le binaire du serveur web /bin/httpd contient une fonction login() qui, en cas d’échec de l’authentification normale (basée sur MD5), invoque GetValue("sys.rzadmin.password") pour récupérer un mot de passe alternatif depuis la configuration de l’appareil. Une comparaison en clair via strcmp() est ensuite effectuée entre le mot de passe fourni par l’utilisateur et cette valeur. En cas de correspondance, un accès administrateur (role=2) est accordé avec création d’une session valide. ...

🔍 Contexte Publié le 6 juillet 2026 par Check Point Research (CPR), cet article présente une analyse technique approfondie de Cavern Manticore, un acteur de menace à nexus iranien suivi depuis début 2026. L’acteur est lié au MOIS (Ministry of Intelligence and Security) iranien et présente des chevauchements techniques avec MuddyWater et Lyceum (sous-groupe d’OilRig). 🎯 Victimologie et objectifs Cavern Manticore cible principalement des organisations israéliennes, avec un focus sur les secteurs gouvernemental et IT. L’acteur exploite les chaînes de sous-traitance IT : il compromet d’abord un fournisseur IT, puis pivote vers un second fournisseur avant d’atteindre la cible finale. Des outils RMM (Remote Monitoring and Management) légitimes sont abusés pour le mouvement latéral et le déploiement de malwares. ...

🔍 Contexte : Le 30 juin 2026, un chercheur du blog Thereallo a publié une analyse technique de Claude Code (version 2.1.196), l’agent de codage d’Anthropic, dans le cadre d’un audit de confidentialité personnel. 🧩 Découverte principale : Le binaire de Claude Code contient une fonction qui modifie silencieusement le system prompt envoyé au modèle en substituant l’apostrophe du mot “Today’s” par différents caractères Unicode visuellement identiques (', ’, ʼ, ʹ) et en changeant le séparateur de date (- → /). Cette technique est qualifiée de stéganographie de prompt. ...

🗓️ Contexte Source : CyberScoop, publié le 6 juillet 2026. L’article rapporte la découverte et la confirmation d’une campagne de défacement par 404 hijacking ciblant des sous-domaines officiels de l’armée américaine. 🎯 Cibles et impact Deux sous-domaines de l’armée américaine ont été compromis : oil.army.mil : site de l’Open Innovation Lab de l’armée (laboratoire de test pour logiciels et capacités cyber, créé en 2020) ai2c.army.mil : site de l’Artificial Intelligence Integration Center (créé en 2019) Les pages d’erreur 404 affichaient des messages de défacement incluant : ...

🔍 Contexte Publié le 7 juillet 2026 par Nebula Security (nebusec.ai), cet article de recherche détaille GhostLock (CVE-2026-43499), une vulnérabilité de type stack Use-After-Free (UAF) dans le noyau Linux, découverte par l’équipe VEGA. La faille a été récompensée par Google à hauteur de 92 337 USD dans le cadre du programme kernelCTF. 🐛 Vulnérabilité Type : Stack Use-After-Free (stack-UAF) Composant affecté : kernel/locking/rtmutex.c, fonction remove_waiter() Versions affectées : Linux v2.6.39-rc1 à v7.1-rc1 (introduite en 2011 avec le rework rtmutex) Condition requise : CONFIG_FUTEX_PI=y uniquement — aucun privilège, aucun namespace utilisateur requis Cause racine : remove_waiter() efface current->pi_blocked_on au lieu de waiter->task->pi_blocked_on sur le chemin proxy (rt_mutex_start_proxy_lock()), laissant un pointeur dangling vers une stack frame libérée ⚙️ Mécanisme d’exploitation L’exploit nécessite trois futex et trois threads pour construire un cycle de dépendance PI déclenchant un -EDEADLK : ...

🔍 Contexte Publié le 6 juillet 2026 par Noma Labs (blog Noma Security), cet article présente la découverte d’une vulnérabilité critique baptisée GitLost, affectant les GitHub Agentic Workflows, une fonctionnalité récente de GitHub combinant GitHub Actions avec un agent IA (Claude ou GitHub Copilot). 🧩 Description de la vulnérabilité La vulnérabilité repose sur une injection de prompt indirecte (indirect prompt injection). Les GitHub Agentic Workflows permettent d’automatiser des interactions avec des dépôts via du langage naturel, en lisant des issues GitHub et en exécutant des actions en réponse. ...

📅 Source : Présentation LeHack 2026 par Tanguy Dubroca (Synacktiv), publiée le 27/06/2026. Il s’agit d’une recherche offensive personnelle visant à résoudre le problème de bootstrapping sur un appareil fermé. 🎯 Contexte et cible La cible choisie est le Kindle Paperwhite 5 (2021) sous firmware 5.18.4 / 5.18.6. L’objectif est d’écrire un jailbreak complet sans s’appuyer sur un jailbreak existant pour le débogage. Le firmware embarque un Linux classique avec deux utilisateurs (framework uid 9000 et root uid 0), une interface React Native, et un bus IPC nommé lipc. ...

🔬 Contexte Publié au NDSS Symposium 2026 (San Diego, février 2026), cet article de recherche présente MVPNalyzer, un framework extensible développé par des chercheurs des universités du Michigan, du Nouveau-Mexique et de l’IIT Delhi, destiné à auditer systématiquement la sécurité et la vie privée des applications VPN Android. 🛠️ Méthodologie Le framework MVPNalyzer se compose de trois modules : Collecte de données : métadonnées Google Play, captures réseau (dans et hors tunnel), clés TLS via hook LD_PRELOAD sur SSL_new, sockets, stockage local Traitement : attribution du trafic par UID, déchiffrement TLS, traduction HTTP/2 → HTTP/1.1, extraction de fichiers de configuration OpenVPN Analyse : cinq modules couvrant le trafic non chiffré, les fuites, l’obfuscation, le tracking/fingerprinting et les configurations VPN Le dataset couvre 281 applications VPN gratuites issues du Google Play Store, collectées en novembre 2024 via 40 termes de recherche et la catégorie “VPN & Proxy Tools”, testées sur des appareils OnePlus Nord 5G sous Android 14. ...

🔍 Contexte Publié le 25 juin 2026 par les chercheurs Chen Aviani et Nikita Kazymirskyi de LevelBlue (SpiderLabs Blog), cet article présente l’analyse technique de QuimaRAT, un nouveau Remote Access Trojan (RAT) écrit en Java, ciblant simultanément Windows, macOS et Linux. 🧩 Description du malware QuimaRAT v2.0 est commercialisé sur un forum du dark web en tant que Malware-as-a-Service (MaaS) avec les caractéristiques suivantes : 70+ modules disponibles Chiffrement AES256 Revendiqué comme FUD (Fully Undetectable) Interface graphique (GUI panel) Tarification par abonnement : 150 $ (1 mois), 300 $ (3 mois), 500 $ (6 mois), 700 $ (12 mois), 1 200 $ (accès à vie) ⚙️ Architecture technique Organisé comme un projet Java modulaire Apache Maven (deux fichiers pom.xml distincts) Exécuté sur JVM Java SE 8 via une archive JAR Contient des bibliothèques natives JNA (Java Native Access) pour Windows, Linux et macOS sur plusieurs architectures Chargement d’un fichier de configuration chiffré config.dat embarqué dans le JAR, déchiffré via une routine XOR à clé répétée Vérification d’instance unique via un fichier .lock dans le répertoire temporaire de l’OS (Java FileLock) Vérifications anti-virtualisation et anti-analyse spécifiques à l’OS avant exécution Mécanismes de persistance spécifiques à chaque OS 📡 Communications C2 Utilisation des commandes HANDSHAKE et HEARTBEAT pour maintenir des communications C2 résilientes 23 commandes implémentées confirmées par analyse statique 212 commandes de protocole uniquement, suggérant une capacité d’extension via modules runtime, binaires uploadés ou payloads fileless 📄 Type d’article Il s’agit d’une analyse technique publiée par un laboratoire de recherche en sécurité, dont le but principal est de documenter les capacités, l’architecture et le fonctionnement de QuimaRAT pour la communauté CTI. ...